Mitä viimeaikaiset suuret kyberhyökkäykset merkitsevät, ja onko organisaatioiden tarpeen suojautua kyberhyökkäyksiltä?
Kyberrikollisuus ja kyberuhat ovat kansainvälisesti kasvavia huolenaiheita. Niiden vaikutukset ulottuvat yksittäisten organisaatioiden turvallisuudesta ja jatkuvuudesta aina valtioiden huoltovarmuuteen saakka.
Tuoreina osoituksina kyberrikollisuuden vaikuttavuudesta voidaan nähdä kaksi Yhdysvalloissa tapahtunutta laajamittaista kyberhyökkäystä, joista tämän tekstin kirjoitushetkellä uutisoi vastikään Yle.fi. Ensimmäinen hyökkäyksistä kohdistui Yhdysvaltojen suurimpaan jalostetun polttoaineen kuljetuslinjastoon, joka tunnetaan nimellä ”Colonial Pipeline”, ja toinen Washingtonin osavaltion poliisilaitokseen.
Colonial Pipelinen hyökkäyksen merkittävyyttä lisää suurien taloudellisten vahinkojen lisäksi se, että hyökkäyksen kohteeksi joutunut kuljetuslinjasto on osa Yhdysvaltojen kriittistä infrastruktuuria. Washingtonin hyökkäyksessä poliisilaitoksen säilömät arkaluontoiset tiedot ovat vaarassa vuotaa julki.
Lisätietoa kyberhyökkäyksistä
Jalostetun polttoaineen kuljetuslinjasto ”Colonial Pipeline” palvelee Yle:n uutisartikkelin tietojen mukaan yli 50:tä miljoonaa asiakasta Yhdysvalloissa, kuljettaen päivittäin lähes 400 miljoonaa litraa polttoainetta. Kyberhyökkäyksen seurauksena kuljetuslinjastoon kohdistui merkittäviä häiriöitä, joista seuraa suuria taloudellisia tappioita kuljetuslinjastoa hallinnoivalle Colonial Pipeline Companylle. Myös kuluttajan suuntaan heijastuu merkittäviä vaikutuksia, kuten polttoaineen toimitusvaikeuksia ja hinnankorotuksia.
Washingtonin osavaltion kyberhyökkäyksessä hyökkääjät onnistuivat tunkeutumaan poliisilaitoksen tietojärjestelmiin, varastaen niistä arkaluontoisia tietoja. Tästä hyökkäyksestä mahdollisesti koituvat taloudelliset vaikutukset ovat matalammat Colonial Pipelineen kohdistuneeseen hyökkäykseen verrattuna. Taloudellisten vaikutusten sijasta, varastettujen arkaluonteisten tietojen vuotaminen voisi mahdollisesti vaarantaa tiedoissa esiintyvien henkilöiden sekä toimijoiden turvallisuuden.
Molemmissa kyberhyökkäyksissä hyödynnettiin niin sanottuja kiristyshaittaohjelmia, joiden avulla hyökkääjät pystyivät kaappaamaan kohdeorganisaatioidensa tietojärjestelmiä omaan hallintaansa, ja näin kiristämään kohdeorganisaatiolta lunnasrahoja. CNBC:n raportoi Colonial Pipeline Companyn tehneen päätöksen 5 miljoonan dollarin lunnasrahojen maksamisesta hyökkääjille, vastineeksi kuljetuslinjaston toimintakyvyn palauttamista. NBC Newsin julkaiseman uutisartikkelin mukaan Washingtonin poliisilaitoksen hyökkäyksessä lunnasrahoista ei ole kuitenkaan vielä päästy hyökkääjien kanssa yhteisymmärryksen, minkä seurauksena hyökkääjät ovat vuotaneet jo 22 poliisikonstaapelin henkilötiedot julkisuuteen.
Kyberhyökkäysten merkitys
Edellä mainittujen kiristyshaittaohjelmien avulla, mutta myös muillakin keinoin, toteutetut kyberhyökkäykset voivat löytää tiensä kohdeorganisaation järjestelmiin eri tavoin. Koska tapoja altistua hyökkäyksille on monia, olisi yhä tärkeämpää, että organisaatiot suhtautuisivat kyberturvaan kokonaisvaltaisesti. Saadakseen hallinnan organisaation tietojärjestelmistä, hyökkääjät voivat hyödyntää hyökkäyksessään esimerkiksi:
- - Järjestelmä- tai ohjelmistopohjaisia haavoittuvaisuuksia
- - Organisaatiosta tarkoituksettomasti taikka tarkoituksella vuodettuja tietoja
- - Henkilöstöltä sosiaalisen manipuloinnin avulla huijattuja tietoja tai käyttäjätunnuksia
Keitä kyberuhkat sekä niiltä suojautuminen sitten koskettavat?
Kyberuhat koskettavat kaikkia organisaatioita, niiden koosta ja luonteesta riippumatta. Hyökkäystyökalut kehittyvät jatkuvasti, ja hyökkäysten toteutukseen tarvittava tietotaito leviää nopeasti julkisissa yhteisöissä. Tämän kehityksen myötä myös massahyökkäysten sekä automatisoitujen hyökkäysten määrä on kasvanut, jonka vuoksi pienemmätkin organisaatiot voivat nyt entistä helpommin joutua kyberhyökkäyksen kohteeksi.
Mikä on riittävä ja tarkoituksenmukainen kyberturvan taso suomalaisten organisaatioiden kannalta?
Tähän kysymykseen ei valitettavasti ole aivan yhtä suoraviivaista vastausta. Tämä johtuu siitä, että kyberuhilta suojautuminen vaatii riskiperusteista ja tapauskohtaista lähestymistapaa. Kyberturvassa tärkeää on huomioida kullekin organisaatiolle ainutlaatuinen toimintaympäristö sekä siihen kohdistuvat riskit. On kuitenkin selvää, että tarvitaan kokonaisvaltaista lähestymistapaa. Pelkkä ennaltaehkäiseminen ei enää ole riittävä suojautumisen keino, tarvitaan myös kyvykkyyttä reagoida hyökkäyksiin sekä palautua niistä.
Suojautuminen kyberuhalta
Kyberturvan suunnittelua ja kehittämistä varten luodaan jatkuvasti uusia keinoja sekä resursseja. Tämän toiminnan tukena voidaan hyödyntää muun muassa aiheeseen liittyvien standardien tarjoamia viitekehyksiä sekä viranomaisten, ja muiden kyberturva-alan keskeisten tahojen, luomia ohjeistuksia. Suomessa kansallinen viranomainen kyberturvaan liittyen on Kyberturvallisuuskeskus, joka tarjoaa verkkosivuillaan etenkin pienille- ja keskisuurille organisaatioille kohdistettuja kyberturvan tukimateriaaleja.
Näiden lisäksi organisaatioiden hyödynnettävissä ovat myös Seclionin kaltaiset asiantuntijayritykset. Tarkoituksenamme on tehdä kyberturvasta mahdollisimman helppoa sekä vaikuttavaa kaiken kokoisille ja tyyppisille organisaatioille, toimialasta riippumatta. Tarjoamiimme palveluihin kuuluvat muun muassa:
- - Kyberturvaan liittyvän hyökkäyspinta-alan kartoittaminen
- - Kyberturvakoulutukset ja ohjeistuksien luominen
- - Kyberturvan testaaminen ja harjoitukset
- - Muut tarvekohtaiset kyberturvapalvelut
Hyvän kyberturvan lähtökohdaksi voidaan nähdä muun muassa seuraavat periaatteet:
2. Huomioidaan sekä tekniset, fyysiset että hallinnolliset riskit ja suojautuminen
3. Huomioidaan sekä ennaltaehkäiseminen, varautuminen, reagointi että palautuminen
4. Tunnetaan omat tietojenkäsittely-ympäristöt ja niihin kuuluvat laitteet sekä järjestelmät
5. Auditoidaan tai muuten valvotaan riittävästi omaa toimintaa kyberturvan näkökulmasta
6. Koulutetaan ja perehdytetään henkilöstöä riittävästi kyberturvallisiin toimintatapoihin
7. Panostetaan organisaation kyberturvakulttuuriin ja kehitetään sitä aktiivisesti
8. Harjoitellaan ja testataan organisaation kyberturvaan liittyvää toimintaa
9. Luodaan riittävät toimintasuunnitelmat kyberhyökkäyksiä varten
10. Vaaditaan kyberturvallisia toimintatapoja myös sidosryhmiltä
Toteutuvatko kaikki kyberturvan hyvä periaatteet sinun organisaatiossasi?
Haluaisitko keskustella lisää asiasta maksuttomassa ja miellyttävässä etäpalaverissa Seclionin asiantuntijan kanssa. Varaa sinulle sopiva aika tapaamiselle tästä.
Mikäli haluat lukea lisää kyberturvallisuuteen liittyen, suosittelemme kahta asiantuntija-artikkelia: